Johdanto

Tietosuoja on nykyaikaisen työsuhteen kulmakivi. Irlannissa työntekijöiden oikeudet rekisteröityinä määritellään selkeästi yleisessä tietosuoja-asetuksessa ja tietosuojalaissa 2018. Nämä lait antavat työntekijöille merkittävän määräysvallan heidän henkilötietonsa suhteen, mutta asettavat työnantajille tiukkoja velvoitteita. Näiden oikeuksien ymmärtäminen ei ole vain oikeudellinen vaatimus.Se lisää luottamusta, vähentää kalliiden seuraamusten riskiä ja takaa oikeudenmukaisen ja avoimen työpaikan. Tässä artiklassa luodaan kattava katsaus Irlannin työlainsäädännön rekisteröityjen oikeuksiin, jotka kattavat kaikki oikeussäännöt, työnantajan velvollisuudet ja uudet haasteet.

Tietojen oikeuksia koskeva oikeudellinen kehys Irlannissa

Irlannin tietosuoja-asetus (FLT:0]) , joka tuli voimaan 25 päivänä toukokuuta 2018. EU-asetuksena sillä on välitön oikeusvaikutus kaikissa jäsenvaltioissa, myös Irlannissa. GDPR:ää täydennetään ]tietosuojalailla [], joka räätälöi tiettyjä Irlannin lainsäädännön säännöksiä, kuten poikkeuksia työhön liittyvää käsittelyä varten, ja jolla nimetään tietosuojakomissioksi (Data Protection Commission, DPC) [[].

Tässä yhteydessä työntekijän henkilötietoja voidaan käsitellä vain, jos on olemassa laillinen perusta.Tyypillisesti suostumus, sopimuspakko, oikeudellinen velvoite tai oikeutetut edut. Työoloissa suostumuksen käyttö on usein ongelmallista vallan epätasapainon vuoksi, joten työnantajat yleensä luottavat sopimuspakkoon tai lakivelvoitteisiin. []DPC[]] tarjoaa yksityiskohtaisia ohjeita ja valvoo säännösten noudattamista tutkimalla, korjaavilla valtuuksilla ja sakoilla. Irlannin merkittävä oikeuskäytäntö, kuten [Nowak v Tietosuojakomissaari[[[]]] (CJEU, 2017) ja DPC:n päätökset työntekijöiden valvonnasta, ovat edelleen selventäneet rekisteröityjen oikeuksien soveltamisalaa.

Tämän oikeudellisen taustan ymmärtäminen on välttämätöntä ennen työntekijöiden erityisoikeuksien jakamista.

Irlannin työllisyys - ja työsuhde-elämän avainoikeudet

Irlannissa työntekijöillä on kahdeksan erillistä GDPR:n mukaista oikeutta, joista jokainen on suunniteltu antamaan heille mahdollisuus valvoa henkilötietojaan. Nämä oikeudet koskevat kaikkia työnantajan suorittamaa käsittelyä. Seuraavassa tarkastellaan jokaista oikeutta käytännön esimerkkien ja asiaa koskevien poikkeusten avulla.

Oikeus tiedonsaantiin (15 artikla tietosuoja-asetus)

Oikeus saada tieto antaa työntekijälle mahdollisuuden saada työnantajalta vahvistusta siitä, käsitelläänkö hänen henkilötietojaan, ja jos käsitellään, saada pääsy näihin tietoihin. Tähän sisältyy tietoja käsittelyn tarkoituksesta, tietoryhmistä, vastaanottajista tai vastaanottajaryhmistä, säilytysajasta ja oikeudesta tehdä valitus. Työnantajan on vastattava [[]] ilman aiheetonta viivytystä ja kuukauden kuluessa pätevän pyynnön vastaanottamisesta, joka voi kestää enintään kaksi kuukautta monimutkaisten tai moninkertaisten pyyntöjen osalta.

Irlannin työsuhdetilanteessa tyypilliset pääsypyynnöt voivat koskea henkilöstötiedostoja, suorituksen arviointeja, työntekijän mainitsevia sähköposteja, valvontakamerakuvaa tai palkkausjärjestelmissä olevia tietoja. Työnantajan on toimitettava kopio tiedoista yleisesti käytetyssä sähköisessä muodossa. On olemassa rajoitettuja poikkeuksia, kuten sellaisia tapauksia, joissa pääsy vaikuttaisi haitallisesti muiden oikeuksiin tai joissa sovelletaan oikeudellista ammattioikeutta. DPC on tehnyt useita päätöksiä, joissa työnantajat velvoitetaan julkistamaan täydelliset tiedot, kuten metatiedot ja sisäiset muistiinpanot. Työnantajan olisi pidettävä yllä selkeää prosessia, jossa käsitellään pyyntöjä, joilla pyritään välttämään valituksia ja täytäntöönpanotoimia.

Oikeus oikaisuun (16 artikla tietosuoja-asetus)

Työntekijöillä on oikeus saada virheelliset tai puutteelliset henkilötiedot korjattua ilman aiheetonta viivytystä. Tämä on erityisen tärkeää työoloissa, joissa henkilöstötiedoissa olevat virheet voivat vaikuttaa ylennykseen, palkkaan tai kurinpitotuloksiin. Jos esimerkiksi työntekijän suoritusarvosana kirjataan väärin, he voivat pyytää oikaisua. Työnantajan on tarkistettava tietojen oikeellisuus ja korjattava tiedot nopeasti, tyypillisesti kuukauden kuluessa. Jos työnantaja kieltäytyy oikaisemasta, hänen on annettava perusteltu vastaus ja ilmoitettava työntekijälle oikeudestaan valittaa tietosuojavastaavalle.

Oikeus erasuru (oikeudellinen unohdettu) (pelastamis- ja tietosuoja-asetuksen 17 artikla)

Tietyissä olosuhteissa työntekijä voi pyytää henkilötietojensa poistamista. Tämä oikeus ei ole absoluuttinen ja koskee lähinnä silloin, kun: tiedot eivät ole enää välttämättömiä alkuperäiseen tarkoitukseen; työntekijä peruuttaa suostumuksen eikä ole olemassa muuta laillista perustetta; työntekijällä ei ole mitään pakottavia laillisia perusteita; tietoja on käsitelty laittomasti; tai oikeudellisia velvoitteita on poistettava. Työssä yhteiset skenaariot sisältävät tiedot, jotka on kerätty ilman voimassa olevaa laillista perustaa tai tietoja, jotka on säilytetty vaaditun ajan jälkeen. Työnantajat voivat kuitenkin kieltäytyä poistamasta tietoja, jos käsittely on tarpeen lakisääteisen velvoitteen noudattamiseksi (esim. verotietojen säilyttäminen), sijoittautumista varten/harjoittamista/puolustusta varten tai yleisen edun vuoksi. DPC on selventänyt, että henkilöstökirjanpitoa on usein säilytettävä useita vuosia työnteon päättymisen jälkeen, täydentäviä poistopyyntöjä. Työnantajan on arvioitava jokainen pyyntö huolellisesti ja dokumentoitava päätös.

Oikeus käsittelyn rajoittamiseen (18 artikla tietosuoja-asetus)

Työntekijät voivat pyytää työnantajaansa rajoittamaan tietojensa käsittelyä erityistilanteissa: kun tietojen oikeellisuus on riitautettu (ja todentaminen); kun käsittely on lainvastaista, mutta työntekijä vastustaa poistamista ja sen sijaan vaatii rajoitusta; kun työnantaja ei enää tarvitse tietoja vaan työntekijä vaatii niitä oikeusvaateisiin; tai kun työntekijä on vastustanut tietojen käsittelyä 21 artiklan (ks. jäljempänä) mukaisesti ennen kuin tulos on saatu. Rajoituksen aikana tietoja voidaan säilyttää, ei käsitellä enää, ellei työntekijä anna suostumusta tai sitä tarvita oikeusvaateisiin tai oikeuksien suojaamiseen. Käytännössä tämä saattaa koskea riitaan liittyviä tietoja valituksen tai epäreilun irtisanomisen yhteydessä. Työnantajan on merkittävä rajoitettuja tietoja ja noudatettava menettelyjä rajoituksen poistamiseksi vain silloin, kun se on tarpeen.

Oikeus tietojen siirtämiseen (pelastamis- ja tietosuoja-asetuksen 20 artikla)

Oikeus tietojen siirrettävyyteen antaa työntekijälle mahdollisuuden vastaanottaa henkilötietojaan jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ja siirtää tiedot esteettä toiselle rekisterinpitäjälle. Tämä oikeus koskee ainoastaan automatisoituja ja suostumukseen tai sopimukseen perustuvia tietoja. Työssä tyypilliset kannettavat tiedot sisältävät palkkatiedot, työhistorian ja yhteystiedot. Siirrettävyys ei kuitenkaan ulotu työnantajan tuottamiin tai päättelemiin tietoihin, kuten suoritusanalytiikkaan. Työnantajan on annettava tiedot ilmaiseksi ja varmistettava, että työntekijä tai kolmas osapuoli voi käyttää niitä. Tämä oikeus on vähemmän työssä käytetty, mutta arvokas, kun työntekijä vaihtaa työpaikkaa ja haluaa siirtää profiilinsa uudelle työnantajalle.

Oikeus esineeseen (petollisten vapauksien ja sisäasiain oikeuden alueen perustamissopimuksen 21 artikla)

Työntekijällä on oikeus vastustaa käsittelyä oikeutettujen etujen tai yleisten etujen perusteella, profilointi mukaan luettuna. Työsuhdetilanteessa tämä koskee tyypillisesti suoramarkkinointia (esim. työnantaja lähettää mainossähköpostia) tai käsittelyä, joka perustuu laillisiin etuihin, kuten työpaikan seurantaan. Kun käsittely on suoramarkkinointia varten, vastalause on täytettävä poikkeuksetta. Työnantajan on osoitettava pakottavat perustellut perusteet, jotka ohittavat työntekijän edut tai oikeudet, tai että käsittely on tarpeen lakisääteisiä vaatimuksia varten. DPC on käsitellyt valituksia, jotka koskevat työntekijöiden vastalauseita CCTV:n seurannasta tai internetin käytön seurannasta. Työnantajan on huolellisesti tasapainotettava liiketoimintansa tarpeet työntekijöiden yksityisyyden suojaa koskeviin odotuksiin.

Oikeudet suhteessa automaattiseen päätöksentekoon ja profilointiin (pelastamis- ja tietosuoja-asetuksen 22 artikla)

Työntekijöillä on oikeus olla ilman, että he joutuvat pelkästään automaattiseen käsittelyyn (mukaan lukien profilointi) perustuvan päätöksen kohteeksi, joka aiheuttaa oikeudellisia vaikutuksia tai vastaavia merkittäviä vaikutuksia. Irlannin työlainsäädännössä automaattisten työhönotto-, suoritus- tai ylennyspäätösten on oltava avoimia ja niissä on oltava mahdollista ihmisten väliintuloon. Jos tällaisia automaattisia järjestelmiä käytetään, työnantajan on annettava mielekästä tietoa asiaan liittyvästä logiikasta ja käsittelyn merkityksestä. Tämä on yhä tärkeämpää, kun tekoälyyn perustuvat rekrytointivälineet ja suoritusanalytiikka yleistyvät. DPC odottaa työnantajien tekevän tietosuoja-arviointia ennen tällaisten järjestelmien käyttöönottoa.

Työnantajan velvollisuudet ja parhaat käytännöt

Työnantajien on Irlannissa omaksuttava ennakoiva lähestymistapa rekisteröidyn oikeuksiin. Noudattamisessa ei ole kyse vain pyyntöihin vastaamisesta.

  • Avoinuus:[ Selkeiden tietosuojailmoitusten antaminen työntekijöille työn alussa ja aina kun tietojen käsittely muuttuu. Ilmoituksessa on täsmennettävä lailliset perusteet, säilytysajat ja oikeudet.
  • Data Protection by Design and Oletus:[] Integrointi tietosuojatoimenpiteet HR-prosesseihin, kuten rajoittaa pääsyä henkilötietoihin tarpeen mukaan ja salata arkaluonteisia tiedostoja.
  • Handling Requests:[] On luotava selkeä sisäinen prosessi rekisteröidyn pyyntöjen vastaanottamista ja niihin vastaamista varten, mukaan lukien pyynnön esittäjän henkilöllisyyden tarkistaminen, toimien dokumentointi ja yhden kuukauden vastausajan saavuttaminen.
  • Tietosuojavastaava (DPO):[] Monien organisaatioiden on nimettävä TVH (esim. viranomaiset, erityistietoryhmien laajamittaista seurantaa tai käsittelyä harjoittavat yhteisöt).
  • Koulutus ja tietoisuus:[ Sen varmistaminen, että henkilöstö ja johto ymmärtävät rekisteröidyn oikeudet ja miten käsitellä pyynnöt. Säännöllinen koulutus vähentää tahattoman rikkomisen tai viivästymisen riskiä.
  • Tietojen säilyttäminen ja poistaminen:[) Laillisten vaatimusten mukaisen säilytysaikataulun täytäntöönpano (esim. palkkaustietoja koskevat tuloohjeet, työhönottotietoja koskevat yhdenvertaista kohtelua koskevat säädökset) ja tietojen automaattinen poistaminen, kun sitä ei enää tarvita.
  • Rikkomusilmoitus:[ Jos työntekijällä on henkilötietojen tietoturvaloukkaus, työnantajan on ilmoitettava siitä tietosuojavastaavalle 72 tunnin kuluessa ja, jos riski on suuri, ilmoitettava siitä asianomaisille työntekijöille ilman aiheetonta viivytystä.
  • Tietosuojaa koskevat vaikutustenarvioinnit: Vaaditaan käsittelyyn, joka todennäköisesti aiheuttaa suuren riskin yksilöille, kuten työntekijöiden seurantajärjestelmille tai uusille henkilöstöteknologialle.

Täytäntöönpano ja seuraamukset Irlannissa

Tietosuojakomissio on riippumaton viranomainen, joka vastaa tietosuojalainsäädännön valvonnasta ja täytäntöönpanosta Irlannissa.

  • Suorittaa tutkimuksia ja tarkastuksia työnantajien.
  • Antakaa varoituksia, nuhteita ja määräyksiä rekisteröidyn oikeuksien noudattamisesta.
  • Hallinnolliset sakot ovat jopa 20 miljoonaa euroa eli 4 prosenttia vuotuisesta maailmanlaajuisesta liikevaihdosta.
  • Määrää käsittelyn rajoittaminen tai kieltäminen.
  • Viitataan vakaviin rikkomisiin rikossyytetuomioistuimissa.

Työntekijät, jotka uskovat, että heidän oikeuksiaan on loukattu, voivat tehdä valituksen DPC:lle maksutta. DPC on tutkinut lukuisia valituksia työnantajia vastaan, erityisesti koskien pääsyä koskevia pyyntöjä, liiallista seurantaa ja tietojen poistamisessa epäonnistumista irtisanomisen jälkeen. Esimerkiksi vuonna 2022 DPC määräsi merkittävää irlantilaista yritystä sakottamaan 225 000 euroa työntekijöiden tietojen käsittelystä ilman pätevää laillista perustetta. Irlannin työnantajien on suhtauduttava näihin velvoitteisiin vakavasti, koska noudattamatta jättäminen voi aiheuttaa merkittävää taloudellista ja maineellista vahinkoa.

Irlannin työllisyystietojen oikeuksien esiin nousevat kysymykset

Työpaikan digitaalinen muutos luo uusia haasteita rekisteröidyn oikeuksille.

  • Etätyö:[] Hybridi- ja etätyön lisääntymisen myötä työnantajat käyttävät usein seurantaohjelmistoja tuottavuuden, näytön kaappausten ja näppäimistön seuraamiseen. Tällaiset käytännöt voivat rikkoa rekisteröidyn oikeuksia, elleivät ne ole avoimesti perusteltuja ja oikeasuhteisia.
  • AI in Recruitment and HR:[ Monet yritykset käyttävät nyt tekoälyyn perustuvia työkaluja ansioluetteloiden seulomiseen, ehdokkaiden arviointiin tai suorituskyvyn ennustamiseen. Näihin järjestelmiin voi kuulua automatisoitu päätöksenteko, joka käynnistää oikeuden ihmisten väliintuloon 22 artiklan nojalla. Työnantajan on varmistettava oikeudenmukaisuus, avoimuus ja kyky selittää päätöksiä.
  • Biometriset tiedot:[] sormenjälkien tai kasvojentunnistuksen käyttö ajan ja läsnäolojärjestelmien osalta kasvaa. Biometriset tiedot ovat erityisluokka GDPR:ssä, joka edellyttää nimenomaista suostumusta tai merkittäviä yleisen edun mukaisia perusteita. Digitaalinen tietokone on antanut ohjeita, joiden mukaan biometrisiä tietoja tulisi käyttää vain silloin, kun se on ehdottoman välttämätöntä.
  • Tietoa koskevat käyttöpyynnöt Tilavuus:[[] Työntekijätietoisuuden lisääntyessä työnantajat kohtaavat yhä enemmän erityishallintoalueita. Näiden hallinta tehokkaasti ilman ylikuormitusta henkilöstötiimit vaativat automatisoituja järjestelmiä ja selkeitä malleja. SAR-tietojen kieltäminen tai viivästyttäminen ilman pätevää syytä kutsuu DPC-valituksia.
  • Raporttitietojen siirrot:[ Monikansalliset työnantajat voivat siirtää työntekijöiden tietoja eri maiden yksiköiden välillä. Schrems II -päätöksen jälkeen irlantilaisten työnantajien on varmistettava riittävät takeet (kuten vakiosopimuslausekkeet) ja tehtävä siirtovaikutusten arviointeja ennen tällaisia siirtoja.

Päätelmä

Irlannin työlainsäädännön mukaiset rekisteröityjen oikeudet ovat kattavia ja niitä valvotaan yhä tiukemmin. Työntekijät hyötyvät mahdollisuudesta käyttää, korjata, poistaa, rajoittaa, rajoittaa ja vastustaa henkilötietojensa käsittelyä, kun taas automatisoitu päätöksenteko on suojatoimien alainen. Työnantajat ymmärtävät nämä oikeudet ja sisällyttää vaatimusten noudattaminen päivittäiseen toimintaan. Sekä työntekijöiden että työnantajien olisi tarkasteltava tietosuojan oikeuksia paitsi hallinnollisena taakkana myös oikeudenmukaisen ja nykyaikaisen työpaikan perustekijänä.

Lisätietoja saa GDPR:n tekstistä , :n tietosuojalaki 2018, ja :n tietosuojakomission verkkosivulta[].[]]